Kapittel 4Sekundærbruk av helsedata

Generelle betingelser for sekundær-bruk

50,

52,

53,

54 

Kravene er delvis oppfylt. Vi har regler som gjelder sekundærbruk

av helseopplysninger i helseregisterloven med forskrifter, helsepersonelloven § 29 mv.

Det antas at det kreves endringer i gjeldende regelverk for å tilpasses forordningen.

Plikt for tilgjengeliggjøring og unntak for enkelte datatilbydere (art. 50) 

Det må vurderes hvilke helsedatainnehavere som omfattes av bestemmelsen

og dermed omfattet av forpliktelsene til å dele helseopplysninger. Det er nasjonalt

handlingsrom til å gi unntak etter andre avsnitt og etter tredje avsnitt at såkalte

helsedataformidlingsenheter kan ivareta oppgavene til enkelte kategorier helsedatainnehavere.

Immaterielle rettigheter og forretningshemmeligheter (art. 52)

Det må kartlegges hvilke data som er omfattet av begrensningene og HDAB må

avklare med helsedatainnehaver hvordan IPR/forretningshemmeligheter ev. Ivaretas

ved tilgjengeliggjøring av helseopplysninger. HDAB kan stille kontraktsrettslige vilkår

ved tilgjengeliggjøring av helseopplysninger som er omfattet av immaterielle rettigheter

og/eller forretningshemmeligheter.

Formål og forbud mot bruk av helsedata (art. 53, 54)

Forordningen åpner for mange bruksområder for helsedata mv., antakeligvis flere

enn hva som er tillatt i nasjonal rett i dag. Det må vurderes og avklares nærmere

hvilke formål som konkret tillates og hvilke som er forbudt etter EHDS-forordningen.

Minimum-kategorier av elektroniske data til sekundær-bruk

Minimumskategorier av elektroniske data (art. 51)

Kravet er i liten grad oppfylt. Det er per nå ikke en enhetlig definisjon og felles forståelse blant medlemsland om hva som inngår i de 17 datakategorier av elektroniske data til sekundærbruk. Data til sekundærbruk samles inn fra ulike datakilder og reguleres i dag av ulike lover og myndigheter, noe som medfører fragmentert regelverk og utfordrer digital datasamhandling. Nasjonale medisinske kvalitetsregistre kan for eksempel ha rettslig grunnlag i fire ulike forskrifter med noe ulike krav og reguleringer. Det må vurderes om det skal fastsettes nasjonale regler i tråd med bestemmelsen. Videre er data som sosioøkonomiske data og miljødata også nevnt i art.51 ofte samlet inn til andre formål, men det er data som påvirker helse.

Ikrafttredelse fra 2029 for datakategorier:

(a) Elektroniske helsedata og helseopplysninger (EHR),

(c) Aggregerte helsedata (behov, ressurser og utgifter),

(d) Data om patogener som påvirker menneskers helse,

(e) Administrativ helsedata (f.eks. refusjoner),

(h) Data generert automatisk via medisinsk utstyr,

(i)* Data fra velvære- og helserelaterte applikasjoner,

(j) Profesjonell informasjon om helsepersonell,

(k) Offentlige helseregistre,

(l) Medisinske registre og dødsårsaksregistre,

(n) Øvrige data fra medisinsk utstyr,

(o) Legemiddel- og utstyrsregistre,

(q)* Helsedata fra biobanker og tilhørende databaser.

fra 2031 for datakategorier:

(b) Sosioøkonomiske, miljømessige og atferdsrelatertefaktorer som påvirker helse,

(f)* Genetiske og genomiske data,

(g)* Molekylærbiologiske data (proteomikk, metabolomikk m.m.),

(m) Data fra kliniske studier og undersøkelser,

(p) Data fra helserelaterte spørreundersøkelser og forskningskohorter.

For datakategorier (*) f, g, i q kan det etableres strengere krav på nasjonalnivå.

Health Data Access Bodies (HDABs)

55,

57,

58,

59,

66,

67,

68,

69,

70,

81,

(73)

Kravene er delvis oppfylt.

Organisering av HDAB-er (art. 55)
Det er flere vedtaksmyndigheter (HDAB-er) i Norge i dag. Forordningen pålegger at det utpekes ett eller flere offentlige organer med ansvar for å gjennomføre oppgaver og forpliktelser knyttet til HDAB-enes mandat. Forordningen peker til at disse oppgavene kan fordeles mellom flere offentlige organer. Norge må fastsette antallet HDAB-er som skal opprettes. Deretter må en koordinerende HDAB utnevnes, med ansvar for å samhandle med aktører både nasjonalt og på europeisk nivå. I tillegg må det etableres tilhørende National Contact Point (NCP) i henhold til artikkel 75 og formelt utpekes. Både koordinerende HDAB og nasjonalt kontaktpunkt må meldes inn til EU-kommisjonen.

Helsedataservice (HDS) fyller mange, men ikke alle kravene til en koordinerende HDAB. Det er behov for styrking av kapasitet, kompetanse, funksjoner og tekniske løsninger for at HDS skal kunne oppfylle alle kravene til en koordinerende HDAB i henhold til EHDS-forordningen.

Det er flere tilgangsforvaltere (HDAB-er) i Norge i dag og det er ikke foretatt vurdering i hvor stor grad disse til sammen oppfyller kravene til HDAB i henhold til EHDS-forordningen. 

SPUHIN prosjektet jobber med prioriterte oppgaver for etablering og utvikling av rollene til HDAB (metadata, sikre analyserom og infrastruktur og cross-border deling av data). EU kommisjonen kommer med nye utlysninger for å støtte utvikling av de andre oppgavene og kravene til HDABer.

Dataforvaltning og tilgangsstyring (art. 57, 58, 66, 67, 68, 69, (73))
Det mangler løsninger for at HDAB skal kunne tilgjengeliggjøre data i sikre analyserom og det er per i dag ikke vedtatt krav og rammeverk for sikre analyserom i Norge som ivaretar kravene i EHDS. Det mangler kontrollmekanismer som sikrer at helsedata kun tilgjengeliggjøres i anonymt eller pseudonymt format. Det mangler overvåkningssystemer som kan sikre etterlevelse av kravene til dataminimering og formålsbegrensning. Det mangler godkjente sikre analyserom (SPE) som HDAB skal kunne kreve at benyttes, med nødvendige løsninger for kontrollformål og logging av aktivitet.

Kommunikasjon og rapportering (art. 58, 59)
Helsenorge er etablert og brukes som kanal for informasjon rettet mot innbyggere, men den dekker ikke alle informasjonskrav og datakilder som omfattes av EHDS. HelsaMi må vurderes som digital kanal for innbyggere i Helse Midt-Norge. Det mangler rutiner for rapportering både nasjonalt og internasjonalt.

Health Data Holders

Helsedata-innehavere

Ref. definisjon art. 2 t),

50,

60,

72,

74,

(51,

52)

Store deler av kravene er oppfylt.

• Dagens dataansvarlige og forvaltere av helsedata mangler kapasitet og kompetanse til å imøtekomme kravene i EHDS-forordningen, spesielt datainnehavere av nye kategorier av helsedata. EHDS setter en grense på 3 måneders saksbehandlingstid.
• Mangler felles forståelse for begrepet "datainnehavere" som er definert i artikkel 2. Hvem som omfattes vil ha betydning for arbeidsmengden til andre aktører i HealthData@EU, eksempelvis HDABer og koordinerende HDAB. (TEHDAS2).
• Norge må vurdere om aktørene beskrevet i artikkel 50 (1) skal være forpliktet til kravene beskrevet for datainnehavere i artikkel 60. Dette må formidles til EU-kommisjonen.
• Norge må evaluere om visse kategorier av datainnehavere oppfyller sine plikter gjennom dataformidlingsenheter (health data intermediation entities). Dette må formidles til EU-kommisjonen.
• Datainnehaver mangler felles merking av datakvalitet i tråd med EHDS-kravene (Kap. 7.6 og Artikkel 78)​.
• Norges løsning der mange registre har desentralisert vedtaksmyndighet for tilgjengeliggjøring av egne data (eks. Pasientjournal, kvalitetsregistre, helseundersøkelser og biobanker), kan samsvare med EHDS-begrepet “Trusted Data Holder” etter art. 72 nr. 2. Nytt med EHDS-forordningen vil da være at HDAB kan overstyre slike vedtak.
• Har ingen praksis eller formell godkjenningsordning for kategorisering av data holdere som "trusted health data holders". Dette skaper usikkerhet om hvordan de ulike helseaktørene skal integreres i EHDS strukturen. Trusted Data Holders skal vurderes, utnevnes og følges opp for kontinuerlig vurdering av HDAB. Norge mangler en klar rollefordeling mellom Data holdere og HDAB i sekundærbruk av helsedata​.

Health Data Users

Ref. definisjon i artikkel 2 nr. 2 u)

61

Kravene er delvis oppfylt. Manglende enhetlig praksis, verktøy og tradisjon for å sikre at data utelukkende brukes til godkjente formål. Mangler retningslinjer for hva som kan regnes som sikre analyserom (SPE) selv om mer kunnskap forventes fra SPUHiN og TEHDAS2. Det mangler rutiner og praksis for forskningsprosjekter som trenger forlenget prosjektperiode om å innhente tillatelser fra andre enn REK [26]. Det mangler felles retningslinjer, og infrastruktur for Data brukere som sammenstiller helsedata med andre data fra andre tverrsektorielle datakilder. Det mangler felles system, kultur og verktøy for oppfølging av rapporteringskrav og resultatdeling fra Data bruker. Svak etterlevelse av eksisterende vilkår i vedtak. Det mangler handlingsrom, system og tradisjon for at databrukere skal varsle datainnehavere/ vedtaksmyndighet om vesentlige funn som kan være av betydning for den registrertes helse. Norge har forbud mot re-identifisering av den registrerte for å muliggjøre informasjon om ev. vesentlige funn, med unntak av i kliniske studier, særlig ved genetikk. Utfordringen er løftet fra Norge og flere land til EU-kommisjonen.

Metadata-katalogen 

77,

79,

(78)

Store deler av kravene er oppfylt. Det er imidlertid gap knyttet til noen av kravene i EHDS-forordningen, blant annet:

• Dagens metadatakatalog møter ikke alle kravene i EHDS-forordningen, men er et meget godt utgangspunkt
• Dagens metadatakatalog favner ikke alle data-kategoriene som er listet i EHDS-forordningen.
• Eksisterende innrapporterte metadata fra «data holders» må kompletteres, oversettes og transformeres til standarden HealthDCAT-AP [27] for å kunne deles med EU Dataset Catalogue.  Per i dag finnes det ikke infrastruktur og applikasjoner for å gjøre dette arbeidet.
• Myndighetsrollen og dagens regelverk for forvaltning av metadata må styrkes for å kunne pålegge nye «data holders» å rapportere inn metadata i henhold til gjeldende standarder. Spesielt vil dette bli en utfordring når det gjelder «data holders» som ikke forvaltes innen helse- og omsorgssektoren

Datakvalitet

78,

(77,

79)

Kravene er delvis oppfylt.

• Det finnes per i dag ingen “Data Quality and Utility Label” eller annen standardisert metode for å dokumentere og tilgjengeliggjøre informasjon om datakvalitet
• Det finnes per i dag ingen felles standard eller prosess for evaluering og oppfølging av modenheten til dataansvarlige når det gjelder informasjonsforvaltning (Å holde «Orden i eget hus»)
• Det er ikke noen utnevnt sentral myndighet med tildelt ansvar for å sikre og sørge for dokumentasjon av datakvalitet

Reservasjons-rett (Opt-out)

71

Kravet er delvis oppfylt. I dag er det etablert en digital reservasjonsløsning på Helsenorge som er i bruk for Kommunalt pasient- og brukerregister (KPR) og for 20 nasjonale medisinske kvalitetsregistre. Alle datakilder som blir omfattet av kravet om reservasjonsrett for sekundærbruk av helsedata etter EHDS må etablere en digital løsning for dette på Helsenorge eller tilsvarende nasjonal digital løsning. Det må sikres tilstrekkelig informasjon til innbygger om muligheten til å reservere seg slik at retten blir reell. Reservasjonsretten kan unntas for kilder som har hjemmel i lov og oppfyller vilkårene i EHDS art. 71 nr. 4. Dette vil kunne være aktuelt for de lovbestemte helseregistrene som samler inn data uten samtykke/reservasjonsrett fra de registrerte. Det er behov for god kommunikasjon med innbygger om hvilke data som brukes til hva, og hva dette betyr for innbygger. I dag er det ikke enighet om hvor detaljert formålet med bruk av helsedata skal kommuniseres med innbyggere. Tekniske og praktiske utfordringer diskuteres i TEHDAS2, og løftes til kommisjonen

Sikre analyserom (SPE)

73

(75,

87,

96)

Kravene er delvis oppfylt. Per i dag er det ikke en europeisk felles forståelse av hvilke kriterier som definerer SPE. Det mangler konkretisering av roller og ansvarsområder for sikre analyserom og oppgavene som skal utføres som krav gjennom EHDS. Roller, ansvar og prosedyrer rundt etterlevelse av krav er ikke bestemt. Det mangler en felles forståelse og ulike behov for sikre analyserom i infrastrukturen beskrevet i HealthData@EU på europeisk og nasjonalt nivå. Kravene til SPE er under utarbeidelse, og Norge er godt koblet på arbeidet med å definere kravene gjennom prosjektene SPUHiN og TEHDAS2. Informasjon (metadata) om leverandører av sikre analyserom som etterlever spesifikasjonene må være tilgjengelig på helsedata.no. SPUHiN jobber med å utvikle en egen metadatastandard for tilgjengeliggjøring av leverandører som leverer sikre analyserom etter godkjente krav.

HealthData@EU

75,

76 

Kravet er ikke oppfylt. Det skal utpekes ett Nasjonalt kontaktpunkt (NCP), som skal være bindeleddet mellom koordinerende HDAB, og HealthData@EU. Denne kan bli lagt til koordinerende HDAB. NCP er ikke utnevnt i Norge. Det er behov for konkretisering av roller og ansvar mellom organisatorisk og teknisk løsning. Det mangler integrasjon mot interne systemer bl.a. for metadata, helsedata og søknader. Krav til sikkerhet og personvern er imidlertid ikke levert fra EU ennå. Norge har per i dag ikke infrastruktur for å koble seg til EU-plattformen for helsedata, gjennom HealthData@EU. Det mangler harmoniserte tilgangsmekanismer og tekniske standarder må tilpasses for å tilrettelegge for datautveksling som krever kompatibilitet med EHDS-formatene. Det er ikke etablert eDelivery løsning for koordinerende HDAB. Det mangler en total oversikt av prosesser rundt søknader som kommer fra HealthData@EU og forsendelse av metadata til HealthData@EU. Norsk lovgivning begrenser internasjonal deling av helsedata, noe som kan være i konflikt med EHDS National Contact Point (ref.om HDAB) må utnevnes og formelt meldes inn til EU- kommisjonen.

Gebyrer

62

Kravet er delvis oppfylt. EHDS legger opp til at det kan tas betalt for kostnader knyttet til tilgjengeliggjøring av data for sekundærbruk. Det er uklart hvilke typer kostnader som etter EHDS kan legges til grunn ved beregning av gebyr for tilgjengeliggjøring, og hvilke aktører i verdikjeden som kan ta betalt. Det finnes ikke en felles prismodell i Norge for tilgjengeliggjøring av helsedata på tvers av helsedatakilder, helsedataforvaltere og vedtaksmyndigheter som er i tråd med EHDS. I dag finnes det ikke systemer, teknisk infrastruktur eller organisatoriske strukturer som kan håndtere felles prisestimat, felles fakturering eller splitting av beløp som en koordinerende HDAB vil trenge for å kunne etterleve kravene i EHDS for alle datakategorier etter art. 51. 

Evaluering, tilsyn og etterlevelse

63,

64,

65,

Kravet er i liten grad oppfylt. Bestemmelsene pålegger HDAB en rekke oppgaver for å håndheve regler og gi sanksjoner. Disse er ikke ivaretatt i dag og må etableres. Det mangler lovhjemmel for administrative bøter for sekundærbruk av helsedata og det finnes ikke en mekanisme for å ekskludere aktører som ikke overholder kravene​.  Datatilsynets tillegges særskilte oppgaver knyttet til reservasjonsrett jf. art. 71.  Det er behov for en overordnet rollefordeling av oppgaver og ansvar mht. tilsyn og sanksjoner, samt rutiner for samarbeidet mellom Datatilsynet og HDAB.